Wprowadzenie do problemu / definicja
Grandoreiro to zaawansowany trojan bankowy wykorzystywany do kradzieży danych uwierzytelniających, przejmowania sesji oraz wspierania oszustw finansowych. Najnowsza kampania pokazuje, że mimo wcześniejszych działań organów ścigania zagrożenie nie zniknęło i nadal jest rozwijane przez operatorów dostosowujących techniki unikania detekcji.
Obecna aktywność koncentruje się na użytkownikach w Meksyku, jednak charakter łańcucha infekcji i stosowane mechanizmy wskazują, że kampania może zostać łatwo rozszerzona na inne kraje i sektory.
W skrócie
Nowa kampania Grandoreiro wykorzystuje archiwa ZIP podszywające się pod faktury oraz technikę DLL sideloading do uruchamiania złośliwego kodu za pośrednictwem legalnej aplikacji. Łańcuch infekcji obejmuje pliki-wabiki, komponent ładujący oraz główny ładunek malware pobierany dopiero po weryfikacji środowiska ofiary.
- Atak rozpoczyna się od archiwum ZIP udającego dokumenty finansowe.
- Do uruchomienia malware wykorzystywana jest legalna aplikacja i podstawiona biblioteka DLL.
- Loader sprawdza, czy działa w środowisku analitycznym lub piaskownicy.
- Pełny payload jest pobierany dopiero po pozytywnym przejściu testów środowiskowych.
- Celem kampanii jest przede wszystkim kradzież danych bankowych i wsparcie oszustw finansowych.
Kontekst / historia
Grandoreiro jest obserwowany od 2016 roku i początkowo był kojarzony głównie z atakami na użytkowników w Brazylii. Z czasem kampanie rozszerzono na kolejne państwa Ameryki Łacińskiej, a następnie także na inne regiony świata.
W poprzednich analizach badacze wskazywali, że malware było wykorzystywane przeciwko klientom setek instytucji finansowych w wielu krajach. Pojawiały się również oceny, że ekosystem związany z Grandoreiro mógł działać w modelu zbliżonym do malware-as-a-service, co zwiększa odporność operatorów na działania wymierzone w pojedyncze elementy infrastruktury.
Choć międzynarodowe operacje organów ścigania doprowadziły do zatrzymań i ograniczenia aktywności grupy, najnowsza kampania potwierdza zdolność operatorów do odbudowy zaplecza technicznego i dalszego rozwijania narzędzi.
Analiza techniczna
Atak najprawdopodobniej rozpoczyna się od wiadomości spamowej zawierającej archiwum ZIP podszywające się pod dokument związany z fakturą. Wewnątrz znajdują się pliki wyglądające na legalne, między innymi PDF i XML, których celem jest obniżenie czujności użytkownika oraz części systemów ochronnych.
Kluczowym elementem kampanii jest zastosowanie DLL sideloading. Atakujący wykorzystują zaufaną aplikację jako nośnik wykonania i skłaniają ją do załadowania podstawionej biblioteki DLL zawierającej złośliwy kod. Dzięki temu malware uruchamia się w kontekście legalnego procesu, co utrudnia analizę behawioralną oraz zmniejsza skuteczność części klasycznych mechanizmów detekcji.
Po uruchomieniu loader przeprowadza szeroką kontrolę środowiska. Sprawdzane są oznaki działania w piaskownicy, obecność narzędzi bezpieczeństwa, debuggerów, rozwiązań do inżynierii wstecznej i monitoringu ruchu sieciowego. Analizowane mogą być również parametry systemowe, takie jak czas działania systemu, ilość pamięci, liczba procesorów, rozmiar dysku, rozdzielczość ekranu czy ślady aktywności użytkownika.
Dopiero po przejściu tych testów malware komunikuje się z serwerem C2 i pobiera główny ładunek Grandoreiro. Taki podział na etap loadera i finalny payload daje operatorom większą elastyczność, umożliwiając niezależne modyfikowanie infrastruktury, komponentów startowych i docelowych funkcji trojana bankowego.
Konsekwencje / ryzyko
Dla użytkowników końcowych Grandoreiro oznacza wysokie ryzyko kradzieży danych logowania do bankowości elektronicznej, przejęcia sesji, rejestrowania naciśnięć klawiszy oraz zdalnej interakcji z zainfekowanym systemem. W praktyce może to prowadzić do nieautoryzowanych przelewów, przejęcia kont oraz dalszego wykorzystania skradzionych danych w kolejnych oszustwach.
Dla organizacji finansowych i przedsiębiorstw problem wykracza poza bezpośrednie straty finansowe klientów. Kampanie tego typu zwiększają obciążenie zespołów SOC, fraud detection i incident response, a jednocześnie utrudniają korelację zdarzeń, ponieważ część aktywności jest ukrywana za legalnymi procesami. Rozbudowane mechanizmy anti-analysis i anti-forensics dodatkowo ograniczają skuteczność standardowych sandboxów.
Istotny wniosek jest taki, że wcześniejsze zakłócenie infrastruktury nie oznacza trwałego wyeliminowania zagrożenia. Organizacje powinny traktować takie operacje jako czasowe osłabienie przeciwnika, a nie definitywne zakończenie kampanii.
Rekomendacje
Podstawowym krokiem powinno być wzmocnienie ochrony poczty elektronicznej i filtrowania załączników, zwłaszcza archiwów ZIP zawierających mieszankę dokumentów oraz plików wykonywalnych lub bibliotek DLL. Warto również wdrożyć reguły wykrywające nietypowe relacje między legalnymi aplikacjami a ładowanymi przez nie bibliotekami.
- Monitorować przypadki DLL sideloading i uruchamianie podpisanych aplikacji z nieoczekiwanymi zależnościami.
- Analizować próby wykrywania środowisk sandbox, debuggerów i narzędzi bezpieczeństwa.
- Śledzić późniejsze połączenia sieciowe do infrastruktury C2 oraz pobieranie dodatkowych payloadów.
- Ograniczać uprawnienia użytkowników i stosować allowlisting aplikacji.
- Segmentować stacje robocze o podwyższonym ryzyku oraz regularnie aktualizować reguły detekcji oparte na TTP.
- Szkolić użytkowników w zakresie rozpoznawania fałszywych faktur i podejrzanych archiwów.
W przypadku wykrycia infekcji konieczne są równoległe działania techniczne i biznesowe, obejmujące izolację hosta, analizę pamięci i artefaktów, reset poświadczeń, przegląd aktywności finansowej oraz ocenę ryzyka dalszego ruchu bocznego.
Podsumowanie
Powrót Grandoreiro w kampanii wymierzonej w użytkowników w Meksyku pokazuje, że dojrzałe trojany bankowe nadal ewoluują mimo wcześniejszych operacji zakłócających. Najważniejsze w tej odsłonie są nie tylko same cele ataku, ale również bardziej odporne loadery, wykorzystanie legalnych aplikacji do uruchomienia kodu oraz rozbudowane techniki unikania analizy.
Dla zespołów bezpieczeństwa oznacza to konieczność monitorowania całego łańcucha ataku — od wiadomości phishingowej, przez uruchomienie zaufanego procesu, aż po komunikację z infrastrukturą C2 i próby nadużycia danych finansowych użytkownika.
Źródła
- Dark Reading – Grandoreiro Malware Resurfaces With Mexico Campaign — https://www.darkreading.com/cyberattacks-data-breaches/grandoreiro-resurfaces-mexico-campaign
- Acronis TRU – Grandoreiro banking trojan reappears in new campaign targeting users in Mexico — https://www.acronis.com/en-us/tru/posts/grandoreiro-banking-trojan-reappears-in-new-campaign-targeting-users-in-mexico/
- INTERPOL – INTERPOL coordinates operation against Grandoreiro banking malware in Latin America — https://www.interpol.int/News-and-Events/News/2024/INTERPOL-coordinates-operation-against-Grandoreiro-banking-malware-in-Latin-America
- IBM X-Force – Grandoreiro banking trojan targets 1,500 banks in 60+ countries — https://www.ibm.com/think/x-force/grandoreiro-banking-trojan-targets-1-500-banks-60-countries
- Kaspersky Securelist – Grandoreiro banking trojan analysis — https://securelist.com/grandoreiro-banking-trojan/113296/